CVE-2026-22818 in hono
Zusammenfassung
von VulDB • 21.05.2026
Hono ist ein Webanwendungs-Framework, das Unterstützung für jede JavaScript-Laufzeitumgebung bietet. Vor Version 4.11.4 wies die JWT-Verifizierungs-Middleware für JWK/JWKS in Hono einen Fehler auf, der es ermöglichte, dass der im JWT-Header angegebene Algorithmus die Signaturenverifizierung beeinflusste, wenn das ausgewählte JWK keinen Algorithmus explizit definierte. Dies konnte zu einer JWT-Algorithmus-Verwechslung (Algorithm Confusion) führen und in bestimmten Konfigurationen die Akzeptanz gefälschter Tokens ermöglichen. Die JWK/JWKS-JWT-Verifizierungs-Middleware wurde aktualisiert, um bei der Token-Verifizierung eine explizite Allowlist asymmetrischer Algorithmen zu erfordern. Die Middleware leitet den Verifizierungsalgorithmus nicht mehr aus nicht vertrauenswürdigen JWT-Headerwerten ab. Diese Schwachstelle wurde in Version 4.11.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.